# EU AI Act: Compliance-Kosten im Mittelstand > EU-AI-Act-Compliance im Mittelstand schlank organisieren: KI-Inventar, Rollen, Kompetenz, Transparenz, Human Oversight und Nachweise ohne Blindflug. - Quelle: https://www.agentifizierung.de/softwarekosten-senken/eu-ai-act-compliance-kosten - Übersicht: https://www.agentifizierung.de/llms.txt - Volltext: https://www.agentifizierung.de/llms-full.txt --- [Softwarekosten senken / EU AI Act](https://www.agentifizierung.de/softwarekosten-senken) ## EU AI Act: Compliance-Kosten im Mittelstand kontrollieren Der EU AI Act verlangt nicht für jedes KI-System dieselben Kontrollen. Wer vorschnell eine große Governance-Suite kauft, automatisiert möglicherweise eine noch ungeklärte Betroffenheit. Der wirtschaftliche Einstieg ist ein quellenbezogenes KI-Inventar, das Rolle, Zweck, Risiko, Nutzer, Daten und erforderliche Nachweise je System trennt. **Kurzantwort:** AI-Act-Compliance beginnt nicht mit Softwarekauf, sondern mit Inventar und Klassifizierung. KI-Kompetenzpflichten gelten bereits seit 2. Februar 2025; Transparenzpflichten nach Artikel 50 greifen ab 2. August 2026. Weitere Pflichten hängen von Rolle, System und Risikokategorie ab. Ein Evidence Agent kann Nachweise, Owner, Schulungen, Transparenztexte und Reviews koordinieren, darf aber keine autonome Rechts- oder Risikoklassifizierung abgeben. Fachlich und quellenbezogen geprüft: 2026-07-23 [Compliance-Kostenaudit](https://www.agentifizierung.de/agentifizierungs-check?intent=compliance-kosten) [Pilot prüfen](https://www.agentifizierung.de/ki-agenten-pilot) ![Gorden Wübbe, Fachautor bei Agentifizierung](https://www.agentifizierung.de/_next/image?url=%2Fueber-uns%2Fgorden-founder.webp&w=256&q=75) Analyse von [Gorden Wübbe](https://www.agentifizierung.de/autoren/gorden-wuebbe) · Co-Founder und Automationsexperte Fachlich und anhand der verlinkten Primärquellen geprüft am 23\. Juli 2026. Eigene Rechnungen sind als Annahmen gekennzeichnet und keine Preis- oder Einsparungszusage. Unternehmen mit Chatbots, Copilots, eigenen Agenten oder eingebetteten KI-Funktionen Mittelständler ohne vollständiges Inventar ihrer KI-Systeme und Anbieter Teams vor dem Kauf einer AI-Governance- oder GRC-Suite Organisationen, die Kompetenz, Transparenz und Human Oversight nachweisbar betreiben wollen Pflichtprozess · Evidence First ### Erst Pflicht und Nachweis klären. Dann den Stack wählen. Ein Compliance Evidence Agent verbindet amtliche Quellen, wirksame Kontrollen, Owner, Fristen und Belege aus vorhandenen Systemen. Er markiert Lücken und bereitet Nachweisakten vor – ohne Rechtsfragen autonom zu entscheiden, Kontrollen zu ersetzen oder Compliance zu bescheinigen. Keine Rechts- oder Steuerberatung. Die konkrete Betroffenheit und Umsetzung muss durch die zuständigen Fach- und Rechtsexperten freigegeben werden. [Evidence Agent ansehen](https://www.agentifizierung.de/softwarekosten-senken#compliance-kosten) [Suite vs. Agent vergleichen](https://www.agentifizierung.de/softwarekosten-senken/compliance-suite-vs-agent-loesung) ### Der Kostenhebel ist zuerst die richtige Risikokategorie. Die Europäische Kommission beschreibt einen risikobasierten Ansatz. Die große Mehrheit der KI-Systeme fällt nach ihrer Einordnung in minimale oder keine Risikokategorien; andere Systeme unterliegen Transparenzpflichten, und Hochrisiko-Systeme tragen weitergehende Anforderungen. Eine Vollsuite für jeden KI-Anwendungsfall wäre deshalb kein sauberer Ausgangspunkt. Erfasst werden System, Anbieter, eigene Rolle als Provider oder Deployer, beabsichtigter Zweck, betroffene Personen, Daten, Integrationen, Entscheidungseinfluss, Owner und aktueller Regelstand. Die fachliche und rechtliche Klassifizierung wird dokumentiert freigegeben – nicht vom Agenten erfunden. ### Zwei Pflichten liefern sofort konkrete Arbeitsprozesse. Artikel 4 zur KI-Kompetenz gilt laut Kommission seit 2. Februar 2025. Anbieter und Betreiber müssen Maßnahmen für ein ausreichendes Kompetenzniveau der Personen treffen, die in ihrem Auftrag mit KI-Systemen umgehen. Ein pauschales Einmalstraining genügt nicht automatisch; Rolle, Erfahrung, Einsatzkontext und betroffene Personen sind zu berücksichtigen. Die Transparenzpflichten nach Artikel 50 gelten ab 2. August 2026. Die am 20. Juli 2026 veröffentlichten Leitlinien konkretisieren unter anderem Hinweise bei direkter Interaktion mit KI sowie Kennzeichnungspflichten für bestimmte generierte oder manipulierte Inhalte. Welcher konkrete Fall erfasst ist, muss anhand der Leitlinien geprüft werden. ### Der AI-Governance-Agent erzeugt eine lebende Nachweisakte. Der Agent sammelt Systemsteckbriefe, Anbieterunterlagen, freigegebene Klassifizierung, Schulungsnachweise, Transparenztexte, Human-Oversight-Rollen, Testfälle, Vorfälle und Änderungen. Er erinnert Owner, erkennt fehlende Nachweise und erstellt eine Review Queue mit Quelle und Regelstand. Er darf ein System nicht selbst als compliant, minimal risk oder high risk deklarieren. Auch eine automatisch erzeugte Policy ist noch kein wirksamer Prozess. Entscheidungen, Ausnahmen und Freigaben bleiben bei den benannten Fach-, Datenschutz-, Sicherheits- und Rechtsrollen. - • Ein Systemsteckbrief statt unverbundener Tabellen - • Quelle und Gültigkeitsstand je Kontrollanforderung - • Owner, Frist, Beleg und dokumentierte Ausnahme - • Änderungsereignisse lösen eine erneute Prüfung aus ### Amtliche Gratiswerkzeuge kommen vor zusätzlicher Lizenz. Die Europäische Kommission stellt mit der AI Act Single Information Platform einen Compliance Checker, einen AI Act Explorer und den AI Act Service Desk bereit. Diese Werkzeuge ersetzen keine individuelle Rechtsprüfung, können aber Betroffenheit und Quellenzugang strukturieren. Eine kostenpflichtige Suite wird erst bewertet, wenn Inventargröße, Rollen, Nachweisvolumen, Integrationen und Freigabeprozess bekannt sind. Bei wenigen Systemen kann ein schlanker Workflow tragen; bei vielen Gesellschaften, Standards und Auditprogrammen kann die Suite wirtschaftlicher sein. ### Vergleich auf derselben Basis Kontrolle AI-Governance-Suite Evidence Agent auf Bestandssystemen KI-Inventar Zentrales Datenmodell mit Rollen und Workflows. Schlanker Systemsteckbrief aus bestehenden Quellen und freigegebenen Feldern. Regelstand Herstellerkuratierte Inhalte je Paket. Amtliche Quellen werden referenziert; fachliche Bewertung bleibt intern oder beraten. Nachweise Integrierte Aufgaben, Kontrollen und Reports. Belege aus DMS, Tickets, Schulung und Entwicklung werden verknüpft. Skalierung Stark bei vielen Einheiten, Standards und Audits. Stark bei begrenztem Inventar und klaren eigenen Kontrollprozessen. Grenze Paketumfang, Datenmodell und Vendor-Lock-in. Eigene Integration, Review, Rechtsbezug und Betrieb müssen verantwortet werden. Kein Werkzeug nimmt dem Unternehmen die rechtliche Einordnung oder wirksame Umsetzung ab. Der Vergleich gilt nur für denselben Inventar- und Nachweisumfang. Beispielrechnung mit Annahmen ### AI-Governance-Suite vs. fokussierte Evidence-Schicht Zeitraum: 36 Monate #### Annahmen - • Suite: 15.000 Euro Einführung und 60.000 Euro pro Jahr als frei gewählte Beispielannahmen - • Evidence-Schicht: 45.000 Euro Implementierung und 2.000 Euro pro Monat für Betrieb, Quellenpflege, Monitoring und Support als Beispielannahmen - • Vorhandene Identität, DMS, Tickets und Schulungsplattform werden weiter genutzt - • Identischer begrenzter Umfang; externe Rechtsberatung, interne Fachzeit und Steuern nicht enthalten #### Rechenweg 1. 1. Suite: 15.000 € + 60.000 € × 3 = 195.000 € 2. 2. Evidence-Schicht Implementierung: 45.000 € 3. 3. Evidence-Schicht Betrieb: 2.000 € × 36 = 72.000 € 4. 4. Evidence-Schicht gesamt: 45.000 € + 72.000 € = 117.000 € In diesem Annahmen-Szenario liegt die fokussierte Evidence-Schicht 78.000 Euro unter der Suite. Alle Euro-Werte sind frei gewählt und keine Herstellerpreise. Beide Optionen liefern ohne fachliche Umsetzung und Rechtsprüfung keine Compliance. Inventargröße, Integrationen, Standards, Beratung und Auditumfang können das Ergebnis drehen. Entscheidungscheck ### Diese Fragen müssen vor dem Beschluss beantwortet sein. Sind alle eingesetzten und beschafften KI-Systeme mit Owner und Zweck inventarisiert? Sind Provider-/Deployer-Rolle und Risikoeinordnung fachlich freigegeben? Welche Kompetenz-, Transparenz-, Protokollierungs- und Oversight-Pflichten gelten tatsächlich? Wo liegen Anbieterunterlagen, Tests, Schulungen, Vorfälle und Änderungen? Welche Entscheidungen dürfen niemals autonom durch den Agenten erfolgen? Ist der aktuelle Regelstand mit Quelle und Prüfdatum dokumentiert? Vom Check in den Betrieb ### Vom Pflichtumfang in einen betreibbaren Evidence-Prozess. 01 · Check #### Betroffenheit und Mindestkontrollen klären Amtliche Quellen, Anwendungsbereich, Fristen, vorhandene Systeme, Verantwortliche und bereits vorhandene Nachweise werden gemeinsam mit zuständigen Fach- und Rechtsrollen abgegrenzt. Ergebnis: Quellenbezogene Pflichtenmatrix ohne automatisches Rechtsurteil 02 · Pilot #### Einen Evidence-Workflow mit echten Nachweisen testen Ein begrenzter Kontrollprozess sammelt Belege, prüft Vollständigkeit, verfolgt Owner und Fristen und legt jede Bewertung zur fachlichen Freigabe vor. Ergebnis: Messbare Nachweisqualität, Bearbeitungszeit und Restarbeit 03 · Implementierung #### Quellen, Rollen und Eskalationen produktiv verbinden Inventare, Dokumente, Tickets, Schulungsnachweise und Meldedaten werden mit minimalen Rechten, Versionierung, Audit Trail und menschlicher Entscheidung integriert. Ergebnis: Produktiver Pflichtprozess mit nachvollziehbarer Verantwortlichkeit 04 · Agent Ops #### Regelstand, Nachweise und Ausnahmen aktuell halten Quellenstand, Kontrollstatus, Fehler, Fristen, Zugriffe, Modelländerungen und offene Maßnahmen werden laufend überwacht und regelmäßig fachlich neu freigegeben. Ergebnis: Prüfbare Nachweisakte statt einmaligem Compliance-Projekt Passende Agenten-Bausteine ### Nicht jede Funktion braucht eine weitere Vollsuite. [Lösungsbeispiel #### KI-Wissensagent Verknüpft Policies und amtliche Quellen mit Version und Prüfdatum. ](https://www.agentifizierung.de/loesungen/ki-wissensagent)[Lösungsbeispiel #### Business-Ops-Agent Verfolgt Systemsteckbriefe, Owner, Fristen, Nachweise und Freigaben. ](https://www.agentifizierung.de/loesungen/business-ops-agent)[Lösungsbeispiel #### Lokaler privater KI-Agent Ordnet sensible Governance-Daten, Zugriff und kontrollierten Betrieb ein. ](https://www.agentifizierung.de/loesungen/lokaler-privater-ki-agent) ### Quellen und Prüfstand Stichtage und Pflichten sind mit amtlichen Quellen verlinkt. Rechtslage und Auslegung können sich ändern; die konkrete Betroffenheit muss im Einzelfall geprüft werden. Euro-Beträge in den Rechenbeispielen sind ausdrücklich offengelegte Annahmen und keine Anbieterpreise. - [Europäische Kommission: AI Act – Regulatory framework](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) Aktueller offizieller Zeitplan und risikobasierter Überblick zu Transparenz, Protokollierung, Dokumentation, Human Oversight, Robustheit und Cybersicherheit. Abgerufen am 2026-07-23 - [Europäische Kommission: Guidelines on transparency obligations for AI systems](https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems) Am 20. Juli 2026 veröffentlichte Leitlinien zum Anwendungsbereich der Transparenzpflichten nach Artikel 50 ab 2. August 2026. Abgerufen am 2026-07-23 - [Europäische Kommission: AI Literacy – Questions & Answers](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) Offizielle Einordnung der seit 2. Februar 2025 geltenden Pflicht für Anbieter und Betreiber, ein ausreichendes Niveau an KI-Kompetenz sicherzustellen. Abgerufen am 2026-07-23 - [Europäische Kommission: AI Act Service Desk und Compliance Checker](https://digital-strategy.ec.europa.eu/en/news/commission-launches-ai-act-service-desk-and-single-information-platform-support-ai-act) Offizielles Informationsangebot mit Compliance Checker, AI Act Explorer und Kontakt zum AI Act Service Desk. Abgerufen am 2026-07-23 FAQ ### Häufige Fragen #### Gilt der EU AI Act für jedes Unternehmen mit ChatGPT oder Copilot? Die konkreten Pflichten hängen von Rolle, System, Zweck und Risikokategorie ab. Allgemeine KI-Kompetenzpflichten können Anbieter und Betreiber betreffen; weitere Anforderungen unterscheiden sich deutlich. Eine pauschale Hochrisiko-Einstufung wäre falsch. #### Welche AI-Act-Pflicht gilt bereits? Die Europäische Kommission nennt für KI-Kompetenz nach Artikel 4 den 2. Februar 2025. Anbieter und Betreiber sollen ein angemessenes Kompetenzniveau der Personen sicherstellen, die in ihrem Auftrag mit KI-Systemen umgehen. #### Wann gelten die Transparenzpflichten des AI Act? Die Transparenzpflichten nach Artikel 50 gelten nach aktuellem Stand ab 2. August 2026. Die Kommission veröffentlichte dazu am 20. Juli 2026 Leitlinien. Der konkrete Anwendungsfall und mögliche Ausnahmen müssen anhand der aktuellen amtlichen Quellen geprüft werden. #### Kann ein Agent die AI-Act-Risikoklasse bestimmen? Er kann Fakten, Quellen und offene Fragen vorbereiten. Die verbindliche Einordnung darf nicht allein aus einer Modellantwort übernommen werden. Sie benötigt dokumentierte fachliche und gegebenenfalls rechtliche Prüfung. #### Was automatisiert ein AI-Governance-Agent? Inventarpflege, Nachweissammlung, Fristen, Schulungsstatus, Änderungsabfragen, Vollständigkeitsprüfung und vorbereitete Reports. Freigaben, Risikoklassifizierung, Grundrechtsabwägung und rechtliche Entscheidungen bleiben menschlich verantwortet. #### Ersetzt eine AI-Governance-Suite die Compliance-Verantwortung? Nein. Eine Suite kann Inventar, Workflows und Reports bündeln. Wirksame Kontrollen, korrekte Systemdaten, Human Oversight, Schulung, Rechtsprüfung und verantwortliche Entscheidungen muss die Organisation weiterhin erbringen. ### Verwandte Kostenentscheidungen [Compliance-Vergleich #### Compliance-Suite vs. Agenten-Lösung: Pflicht mit kleinem Stack erfüllen ](https://www.agentifizierung.de/softwarekosten-senken/compliance-suite-vs-agent-loesung)[NIS2 #### NIS2-Compliance im Mittelstand: Kosten in Kontrollen übersetzen ](https://www.agentifizierung.de/softwarekosten-senken/nis2-compliance-kosten-mittelstand)[Aufgabe oder Add-on #### KI-Agent vs. Zusatzlizenz: Aufgabe automatisieren oder Add-on kaufen? ](https://www.agentifizierung.de/softwarekosten-senken/ki-agent-vs-zusatzlizenz)[Apotheke #### KI in der Apotheke: Gesundheitsdaten, Schweigepflicht und der richtige Verarbeitungsort ](https://www.agentifizierung.de/softwarekosten-senken/ki-in-der-apotheke-gesundheitsdaten) Nächster Schritt ### Pflichtumfang und Erfüllungs-Stack belastbar prüfen. Im Compliance-Kostenaudit übersetzen wir den konkreten Pflichtanlass in Kontrollen, Nachweise, Owner und Systemgrenzen. Danach ist klar, was bereits vorhanden ist, welche Lücke wirklich bleibt und ob Suite oder Evidence Agent den tragfähigeren Pfad bildet. [Compliance-Kostenaudit](https://www.agentifizierung.de/agentifizierungs-check?intent=compliance-kosten) [Pilot als nächsten Schritt ansehen](https://www.agentifizierung.de/ki-agenten-pilot)